Estoy ejecutando un servidor que requiere una lista negra de suites de cifrado débiles.Buena lista de suites de cifrado débiles para Java
¿Cuáles de los siguientes son débiles? http://java.sun.com/javase/6/docs/technotes/guides/security/SunProviders.html#SunJSSEProvider
¿Por qué necesita excluir los malos? ¿Por qué no solo incluir los buenos?
Para empezar, me gustaría seguir las directrices NSA Suite B, específicamente RFC 5430
@John Smith: estoy de acuerdo con Kevin aquí. Para todo lo relacionado con la seguridad, desactive todo de manera predeterminada y luego incluya en la lista blanca lo que desea permitir. Así es como se configuran los buenos firewalls: denegar todo por defecto, tráfico autorizado de "whitelist". – SyntaxT3rr0r
Jetty usa una lista negra hasta la versión 6.1.21, así que estoy atascado por ahora lol –
@John Lo solucionamos reemplazando el método SslSocketConnector # createFactory() para proporcionar un SSLServerSocketFactory preconfigurado que creará sockets con el correcto suites de cifrado habilitadas en ellos. – Kevin
bastante seguro embarcadero está lista negra.
De todas formas mi problema está resuelto. Gracias
Las versiones after 7.0.2 de Jetty ahora incluyen una función de lista blanca para suites de cifrado. Sólo tiene que añadir una sección a su etc/embarcadero-ssl.xml como la siguiente:
<Call name="addConnector">
<Arg>
<New class="org.eclipse.jetty.server.ssl.SslSelectChannelConnector">
<Arg><Ref id="sslContextFactory" /></Arg>
<Set name="Port">8443</Set>
<Set name="maxIdleTime">30000</Set>
<Set name="Acceptors">2</Set>
<Set name="AcceptQueueSize">100</Set>
<!--you can enable cipher suites in the following section. -->
<Set name="IncludeCipherSuites">
<Array type="java.lang.String">
<Item>TLS_DHE_RSA_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA</Item>
<Item>TLS_RSA_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_RSA_WITH_3DES_EDE_CBC_SHA</Item>
<Item>TLS_DHE_DSS_WITH_AES_128_CBC_SHA</Item>
<Item>SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA</Item>
</Array>
</Set>
</New>
</Arg>
</Call>
Si lo hace, automáticamente cualquier lista negra de cifrado que no figuran en esta sección.
El soporte de la curva elíptica en Java es extremadamente difícil. RSA, Diffie-Hellman y Triple-DES no son "débiles", simplemente no son "los mejores". – erickson